Kanał zgłoszeń dla organizacji strażniczej: ochrona tożsamości źródła

Co mówi ustawa w tej sytuacji

Ustawa o ochronie sygnalistów chroni osoby zgłaszające naruszenia w kontekście związanym z pracą, w tym poprzez ujawnienie publiczne, jeśli spełnione są warunki z art. 51: wcześniejsze zgłoszenie bez reakcji w terminie albo uzasadnione podstawy, by sądzić, że naruszenie stanowi bezpośrednie zagrożenie interesu publicznego lub że zgłoszenie do organu byłoby nieskuteczne. Organizacja strażnicza, która przyjmuje takie informacje, sama nie jest „podmiotem prawnym” z obowiązkiem procedury wobec tych osób, ale jest administratorem ich danych i odpowiada za ich bezpieczeństwo.

Jeśli fundacja zatrudnia 50 i więcej osób, ma dodatkowo zwykły obowiązek procedury wobec własnych pracowników i wolontariuszy. Oba kanały mogą działać w jednym systemie jako osobne formularze z osobnymi uprawnieniami.

Na co zwrócić uwagę przy wdrożeniu

1. Zero śladów technicznych. Strona zgłoszeń nie może zapisywać adresu IP, ładować czcionek ani skryptów z zewnętrznych serwerów, używać analityki. Każdy z tych elementów to zapis u podmiotu trzeciego, który można pozyskać wezwaniem.
2. Metadane załączników. Zdjęcie dokumentu zrobione telefonem zawiera model urządzenia, czas i często lokalizację; skan z biura ma nazwę urządzenia. Czyszczenie musi być automatyczne, zanim plik zobaczy ktokolwiek.
3. Powrót do rozmowy bez konta i bez maila. Źródło wraca przez numer sprawy i PIN, z dowolnego urządzenia, i może odpowiedzieć na pytania po tygodniach.
4. Klucz po stronie organizacji. Treść i tożsamość zaszyfrowane kluczem, którego dostawca nie ma. Wezwanie skierowane do dostawcy nie może skończyć się wydaniem tego, czego nie da się odczytać.
5. Procedura wewnętrzna, kto w organizacji ma dostęp do spraw i na jakich zasadach, z pisemnymi upoważnieniami, mimo że ustawa wprost tego wobec źródeł zewnętrznych nie wymaga. Wymaga tego RODO.

Funkcje, które robią różnicę

• Strona zgłoszeń bez zapisu IP, bez zewnętrznych zasobów, bez śledzenia (poufność i ochrona tożsamości).
• Usuwanie metadanych z załączników przed zapisaniem.
• Numer sprawy i PIN: rozmowa bez konta i bez adresu e-mail.
• Szyfrowanie end-to-end kluczem organizacji; dostęp awaryjny wymaga dwóch stron.
• Własna domena i marka: źródło widzi adres organizacji, której ufa (wdrożenie i kanały).
• Wiele formularzy: osobny dla źródeł zewnętrznych i osobny dla pracowników fundacji, z rozdzielonymi uprawnieniami.

Najczęstsze pytania

Czy osoba spoza organizacji, która zgłasza fundacji, jest sygnalistą?

Wobec fundacji nie jest w rozumieniu ustawy, bo nie ma z nią kontekstu związanego z pracą. Może być sygnalistą wobec własnego pracodawcy i korzystać z ochrony przy ujawnieniu publicznym, jeśli spełni warunki z art. 51. Fundacja odpowiada za jej dane jako administrator.

Czy dostawca systemu może zostać zmuszony do wydania treści zgłoszeń?

Może dostać wezwanie, ale wydaje to, co ma. W trybie end-to-end ma szyfrogram i metadane bez treści i tożsamości, a decyzja o odszyfrowaniu należy wyłącznie do organizacji, która ma klucz.

Więcej o kanałach w artykule Kanały zgłoszeń: pisemnie, ustnie, na spotkaniu.